Ενιαία σύνδεση πλατφόρμας για macOS

Επισκόπηση

Η Ενιαία σύνδεση πλατφόρμας (SSO πλατφόρμας), διαθέσιμη στο macOS, παρέχει στους χρήστες μια απρόσκοπτη εμπειρία εισόδου και ελέγχου ταυτότητας. Με την Ενιαία σύνδεση πλατφόρμας, οι χρήστες μπορούν να χρησιμοποιούν την ταυτότητα του οργανισμού τους σε όλο το macOS ξεκινώντας από την αρχική διαμόρφωση, αντί να χρειάζεται να αλληλεπιδρούν επανειλημμένα με προτροπές ελέγχου ταυτότητας. Για να χρησιμοποιήσετε την Ενιαία σύνδεση πλατφόρμας, πρέπει να αναπτύξετε μια επέκταση Ενιαίας σύνδεσης συμβατή με τον πάροχο ταυτότητας (IdP) που υλοποιεί το πλαίσιο Ενιαίας σύνδεσης.

Μπορείτε να συνδυάσετε την Ενιαία σύνδεση πλατφόρμας με άλλες επεκτάσεις Ενιαίας σύνδεσης με τις ακόλουθες παραμέτρους:

• Ένας συγκεκριμένος τομέας μπορεί να χρησιμοποιεί μόνο μία επέκταση Ενιαίας σύνδεσης.

• Ορισμός του syncLocalPassword σε ΨΕΥΔΕΣ στη διαμόρφωση Ενιαίας σύνδεσης Kerberos.

Δυνατότητες

Η Ενιαία σύνδεση πλατφόρμας υποστηρίζει τις ακόλουθες δυνατότητες:

• Παροχή εμπειρίας ενιαίας σύνδεσης για εγγενείς και διαδικτυακές εφαρμογές.

• Χρήση πολλαπλών μεθόδων ελέγχου ταυτότητας, όπως συνθηματικό, κλειδιά με υποστήριξη Secure Enclave, ευέλικτες ροές ελέγχου ταυτότητας μέσω Διαδικτύου, κλειδιά πρόσβασης και έξυπνες κάρτες.

• Ενεργοποίηση και επιβολή της Ενιαίας σύνδεσης πλατφόρμας κατά την Αυτοματοποιημένη εγγραφή συσκευών για έλεγχο ταυτότητας της εγγραφής και δημιουργία ενός τοπικού λογαριασμού χρήστη.

• Δημιουργία πρόσθετων τοπικών λογαριασμών χρηστών κατ’ απαίτηση κατά την είσοδο ενός χρήστη με διαπιστευτήρια από λογαριασμό παρόχου ταυτότητας.

• Συγχρονισμός των συνθηματικών παρόχου ταυτότητας με τους τοπικούς λογαριασμούς χρηστών.

• Απαιτείται Touch ID ως δεύτερος παράγοντας.

• Λήψη πληροφοριών σχετικά με την κατάσταση της Ενιαίας σύνδεσης πλατφόρμας και τις επιλογές επιδιόρθωσης στις Ρυθμίσεις συστήματος.

• Χρήση πολιτικών εισόδου για καθορισμό πότε να πραγματοποιείται έλεγχος ταυτότητας με συνθηματικό σε πραγματικό χρόνο με τον πάροχο ταυτότητας.

• Καθορισμός δικαιωμάτων λογαριασμών παρόχου ταυτότητας και δυνατότητα χρήσης δικτυακών μόνο λογαριασμών παρόχου ταυτότητας σε προτροπές εξουσιοδότησης.

• Υποστήριξη επισκεπτών χρηστών που πραγματοποιούν προσωρινή είσοδο με τα διαπιστευτήρια παρόχου ταυτότητας σε κοινόχρηστους υπολογιστές Mac.

Απαιτήσεις

• macOS 13 ή μεταγενέστερη έκδοση

• Μια υπηρεσία διαχείρισης συσκευών που υποστηρίζει τη ρύθμιση παραμέτρων της Επεκτάσιμης Ενιαίας σύνδεσης, η οποία περιλαμβάνει υποστήριξη για την Ενιαία σύνδεση πλατφόρμας

• Μια εφαρμογή που περιέχει επέκταση Ενιαίας σύνδεσης πλατφόρμας που είναι συμβατή με τον πάροχο ταυτότητας

Οι ακόλουθες δυνατότητες έχουν επιπλέον απαιτήσεις έκδοσης:

Διαμόρφωση της Ενιαίας σύνδεσης πλατφόρμας

Για να χρησιμοποιήσετε την Ενιαία σύνδεση πλατφόρμας, το Mac και κάθε χρήστης πρέπει να εγγραφούν στον πάροχο ταυτότητας. Ανάλογα με την υποστήριξη του παρόχου ταυτότητας και την εφαρμοζόμενη ρύθμιση παραμέτρων, το Mac μπορεί να εκτελέσει σιωπηλά την εγγραφή συσκευής στο παρασκήνιο χρησιμοποιώντας τα εξής:

• Ένα διακριτικό εγγραφής του παρόχου ταυτότητας που δόθηκε στη ρύθμιση παραμέτρων επεκτάσιμης Ενιαίας σύνδεσης.

• Μια βεβαίωση που παρέχει ισχυρή διασφάλιση ότι το Mac είναι γνήσια συσκευή Apple και μπορεί προαιρετικά να περιλαμβάνει αναγνωριστικά συσκευής (UDID και σειριακός αριθμός).

Μετά την επιτυχή εγγραφή της συσκευής, εγγράφεται ο χρήστης. Αν ο πάροχος ταυτότητας το απαιτεί, η Ενιαία σύνδεση πλατφόρμας προτρέπει τον χρήστη να επιβεβαιώσει την εγγραφή του. Ο τρόπος χειρισμού της εγγραφής από την Ενιαία σύνδεση πλατφόρμας εξαρτάται από τον τύπο λογαριασμού:

• Με προηγούμενο έλεγχο ταυτότητας συσκευής: Εάν η εγγραφή συσκευής περιλάμβανε ήδη έλεγχο ταυτότητας χρήστη και η επέκταση Ενιαίας σύνδεσης παρείχε τις απαραίτητες πληροφορίες και διακριτικά, η Ενιαία σύνδεση πλατφόρμας εκτελεί την εγγραφή χρήστη στο παρασκήνιο.

• Τοπικοί λογαριασμοί κατ’ απαίτηση: Η Ενιαία σύνδεση πλατφόρμας επιχειρεί την εγγραφή χρήστη αθόρυβα στο παρασκήνιο. Αν αποτύχει, προτρέπει τον χρήστη.

• Λογαριασμοί λειτουργίας επισκέπτη με ελεγμένη ταυτότητα: Η Ενιαία σύνδεση πλατφόρμας παραλείπει εντελώς την εγγραφή χρήστη για προσωρινούς λογαριασμούς που δημιουργεί η λειτουργία επισκέπτη με ελεγμένη ταυτότητα.

Αν είναι απαραίτητο, οι τοπικοί λογαριασμοί (όπως έχουν οριστεί από εσάς) μπορούν να εξαιρεθούν από την Ενιαία σύνδεση πλατφόρμας και να μην τους ζητηθεί να εγγραφούν στην Ενιαία σύνδεση πλατφόρμας. Αυτό τους αποκλείει επίσης από δυνατότητες όπως οι πολιτικές εισόδου ή η απαίτηση Touch ID.

Κοινόχρηστα κλειδιά συσκευής

Για διατήρηση αξιόπιστης σύνδεσης με τον πάροχο ταυτότητας ανεξάρτητα από τον χρήστη, η Ενιαία σύνδεση πλατφόρμας υποστηρίζει τα κοινόχρηστα κλειδιά συσκευής. Χρησιμοποιείτε κοινόχρηστα κλειδιά συσκευής όποτε είναι δυνατό. Απαιτούνται για:

• Ενιαία σύνδεση πλατφόρμας κατά την αυτοματοποιημένη εγγραφή συσκευής

• Απαίτηση Touch ID

• Έλεγχος ταυτότητας μέσω Διαδικτύου

• Λειτουργία επισκέπτη με έλεγχο ταυτότητας

• Δημιουργία λογαριασμού κατ’ απαίτηση

• Εξουσιοδότηση δικτύου

Μέθοδοι ελέγχου ταυτότητας

Η Ενιαία σύνδεση πλατφόρμας υποστηρίζει διαφορετικές μεθόδους ελέγχου ταυτότητας μέσω παρόχου ταυτότητας. Η υποστήριξη για κάθε δυνατότητα εξαρτάται από τον πάροχο ταυτότητας και την επέκταση Ενιαίας σύνδεσης πλατφόρμας. Οι μέθοδοι ελέγχου ταυτότητας είναι οι εξής:

• Συνθηματικό: Με αυτήν τη μέθοδο, ένας χρήστης πραγματοποιεί έλεγχο ταυτότητας μέσω παρόχου ταυτότητας χρησιμοποιώντας ένα συνθηματικό. Αυτή η μέθοδος υποστηρίζει επίσης το WS-Trust, που επιτρέπει στον χρήστη να πραγματοποιεί έλεγχο ταυτότητας ακόμη κι όταν ο πάροχος ταυτότητας που διαχειρίζεται τον λογαριασμό είναι ομόσπονδος.

• Μέσω Διαδικτύου: Με αυτήν τη μέθοδο, ένας χρήστης πραγματοποιεί έλεγχο ταυτότητας σε μια φόρμα Ιστού που παρουσιάζεται από τον πάροχο ταυτότητας. Αυτή η μέθοδος ελέγχου ταυτότητας μέσω Διαδικτύου μπορεί επίσης να προσφέρει ροές ελέγχου ταυτότητας πολλών βημάτων και επιτρέπει την πρόσβαση στην κάμερα για τους χρήστες ώστε να συνδεθούν σαρώνοντας έναν κωδικό QR.

• Έξυπνη κάρτα: Με αυτήν τη μέθοδο, ένας χρήστης πραγματοποιεί έλεγχο ταυτότητας μέσω παρόχου ταυτότητας χρησιμοποιώντας μια έξυπνη κάρτα. Για να χρησιμοποιήσετε αυτήν τη μέθοδο, πρέπει να κάνετε τα εξής:

  • Εγγράψτε την έξυπνη κάρτα στον πάροχο ταυτότητας.

  • Διαμορφώστε την αντιστοίχιση χαρακτηριστικών έξυπνης κάρτας στο Mac.

    Για λεπτομέρειες και ένα παράδειγμα ρύθμισης παραμέτρων της αντιστοίχισης χαρακτηριστικών, δείτε τη σελίδα man για το έργο «Smart Card Services».

• Κλειδί με υποστήριξη Secure Enclave: Με αυτήν τη μέθοδο, ένας χρήστης που συνδέεται στο Mac του με συνθηματικό τοπικού λογαριασμού μπορεί να χρησιμοποιήσει ένα κλειδί που υποστηρίζεται από το Secure Enclave για έλεγχο ταυτότητας με τον πάροχο ταυτότητας χωρίς συνθηματικό. Ο πάροχος ταυτότητας διαμορφώνει το κλειδί με υποστήριξη Secure Enclave κατά τη διαδικασία εγγραφής του χρήστη.

• Κλειδί πρόσβασης: Με αυτήν τη μέθοδο, ένας χρήστης χρησιμοποιεί ένα πάσο που είναι αποθηκευμένο στο Πορτοφόλι Apple για έλεγχο ταυτότητας μέσω παρόχου ταυτότητας. Όπως μια έξυπνη κάρτα, πρέπει να εγγράψετε το κλειδί πρόσβασης στον πάροχο ταυτότητας.

Ορισμένες λειτουργίες απαιτούν να χρησιμοποιήσετε συγκεκριμένη μέθοδο ελέγχου ταυτότητας:

Δυνατότητα	Συνθηματικό	Μέσω Διαδικτύου	Έξυπνη κάρτα	Κλειδί με υποστήριξη Secure Enclave	Κλειδί πρόσβασης
Διαχείριση προνομίων
Λειτουργία επισκέπτη με έλεγχο ταυτότητας
Αυτοματοποιημένη εγγραφή συσκευής
Δημιουργία λογαριασμού κατ’ απαίτηση
Απαίτηση Touch ID
Συγχρονισμός συνθηματικών
Πολιτικές εισόδου

Έλεγχος ταυτότητας μέσω Διαδικτύου και σύνδεση με κωδικό QR

Με τον έλεγχο ταυτότητας μέσω Διαδικτύου, οι οργανισμοί μπορούν να αξιοποιήσουν σύγχρονες και ευέλικτες μεθόδους ελέγχου ταυτότητας. Για την προστασία του απορρήτου και της ασφάλειας του χρήστη, το πλαίσιο Ενιαίας σύνδεσης πλατφόρμας επιτρέπει μόνο καθορισμένα URL κατά τη διαδικασία ελέγχου ταυτότητας μέσω Διαδικτύου.

Όταν χρησιμοποιείται έλεγχος ταυτότητας μέσω Διαδικτύου, το macOS εμφανίζει μια προβολή Ιστού κατά το ξεκλείδωμα του FileVault, στην οθόνη κλειδώματος και στο παράθυρο εισόδου. Η προβολή Ιστού αποδίδει τη φόρμα σύνδεσης του παρόχου ταυτότητας και υποστηρίζει ροές ελέγχου ταυτότητας πολλών βημάτων και πολλών παραγόντων, καθώς και σύνδεση με κωδικό QR.

Η χρήση κωδικού QR παρέχει μια γρήγορη μέθοδο ελέγχου ταυτότητας, για παράδειγμα για φοιτητές που συνδέονται σε υπολογιστές Mac σε τάξεις ή σε περίπτερα. Για προστασία του απορρήτου του χρήστη, το macOS χειρίζεται τη σάρωση χρησιμοποιώντας μια ενσωματωμένη ή συνδεδεμένη κάμερα σε μια ασφαλή διεργασία συστήματος και κοινοποιεί μόνο τον σαρωμένο κωδικό στον πάροχο ταυτότητας. Ο πάροχος ταυτότητας χειρίζεται αυτόν τον κωδικό ως κείμενο και μπορεί να αντιπροσωπεύει ένα διακριτικό, μια διεύθυνση URL ή άλλους παράγοντες που απαιτεί ο πάροχος ταυτότητας.

Επιπλέον, οι χρήστες μπορούν επίσης να συνδεθούν με κλειδιά πρόσβασης στην οθόνη κλειδώματος και στο παράθυρο εισόδου.

Αν δεν είναι διαθέσιμος ο έλεγχος ταυτότητας μέσω Διαδικτύου, για παράδειγμα, όταν το Mac είναι εκτός σύνδεσης, οι χρήστες μπορούν να χρησιμοποιήσουν το συνθηματικό τοπικού λογαριασμού για έλεγχο ταυτότητας για τον αριθμό ημερών που έχει ορίσει η ομάδα πληροφορικής.

Απαιτήσεις δικτύου για το FileVault

Η Ενιαία σύνδεση πλατφόρμας πρέπει να μπορεί να επικοινωνήσει με τον πάροχο ταυτότητας πριν από το ξεκλείδωμα του FileVault για τις ακόλουθες δυνατότητες:

• Έλεγχος ταυτότητας μέσω Διαδικτύου

• Λειτουργία επισκέπτη με έλεγχο ταυτότητας

• Πολιτική εισόδου

Επειδή το macOS πρέπει να δημιουργήσει συνδεσιμότητα πριν είναι διαθέσιμος ο τόμος δεδομένων, πρέπει να επικοινωνήσετε με τον πάροχο ταυτότητας χωρίς VPN, μεταγωγή δικτύου ή έλεγχο ταυτότητας 802.1X.

Σε Mac με macOS 27, μπορείτε επίσης να επιτρέψετε στους χρήστες να συνδεθούν σε διαφορετικό δίκτυο και να πραγματοποιήσουν έλεγχο ταυτότητας με πύλες υποδοχής κατά το ξεκλείδωμα του FileVault, στην οθόνη κλειδώματος και στο παράθυρο εισόδου.

Ενιαία σύνδεση πλατφόρμας με αυτοματοποιημένη εγγραφή συσκευών

Μπορείτε να ενεργοποιήσετε και να επιβάλετε την Ενιαία σύνδεση πλατφόρμας κατά τη διάρκεια του Βοηθού διαμόρφωσης με την Αυτοματοποιημένη εγγραφή συσκευών. Αυτό λειτουργεί καλά για υπολογιστές Mac ενός χρήστη επειδή το macOS δημιουργεί αυτόματα έναν τοπικό λογαριασμό για τον χρήστη που πραγματοποιεί έλεγχο ταυτότητας για την εγγραφή, και αυτός ο χρήστης μπορεί να χρησιμοποιήσει άμεσα την Ενιαία σύνδεση σε υποστηριζόμενες εγγενείς και διαδικτυακές εφαρμογές.

Όταν διαμορφώνετε την Ενιαία σύνδεση πλατφόρμας με την Αυτοματοποιημένη εγγραφή συσκευών, το macOS κάνει λήψη και εγκατάσταση της επέκτασης και της ρύθμισης παραμέτρων της Ενιαίας σύνδεσης πλατφόρμας. Αυτό μπορεί να συμβεί σε δύο σημεία:

• Πριν το macOS εγγραφεί στην υπηρεσία διαχείρισης συσκευών: Επιτρέπει στον χρήστη να πραγματοποιήσει έλεγχο ταυτότητας για την εγγραφή με Ενιαία σύνδεση.

• Μετά την εγγραφή: Όταν η υπηρεσία διαχείρισης συσκευών διατηρεί το macOS σε κατάσταση αναμονής ρύθμισης παραμέτρων.

Κατά τη διάρκεια αυτής της ροής, το macOS εκτελεί εγγραφή συσκευής είτε αθόρυβα είτε προτρέποντας τον χρήστη. Αν το macOS εκτελεί αθόρυβα εγγραφή συσκευής, ή αν η Ενιαία σύνδεση πλατφόρμας δεν έλαβε τις απαραίτητες πληροφορίες χρήστη και τα διακριτικά, ο χρήστης πρέπει να πραγματοποιήσει έλεγχο ταυτότητας μέσω του παρόχου ταυτότητας για να ολοκληρωθεί η εγγραφή χρήστη. Αυτό καθιερώνει επίσης μια ταυτότητα χρήστη στο macOS. Οι χρήστες δεν μπορούν να προχωρήσουν χωρίς επιτυχή εγγραφή στην Ενιαία σύνδεση πλατφόρμας.

Μετά από επιτυχή έλεγχο ταυτότητας του χρήστη, το macOS δημιουργεί έναν τοπικό λογαριασμό χρήστη. Χρησιμοποιώντας ένα προαιρετικό κλειδί ρύθμισης παραμέτρων, μπορείτε να ορίσετε ποιο χαρακτηριστικό από τον πάροχο ταυτότητας θα χρησιμοποιηθεί για το όνομα τοπικού λογαριασμού (που συχνά αποκαλείται «σύντομο όνομα χρήστη») και το πλήρες όνομα. Οι διαχειριστές υπηρεσιών διαχείρισης συσκευών μπορούν επίσης να ορίσουν το κλειδί για το όνομα λογαριασμού σε com.apple.PlatformSSO.AccountShortName για χρήση του προθέματος UPN.

Όταν είναι ενεργοποιημένος ο συγχρονισμός συνθηματικού, το συνθηματικό συγχρονίζεται με τον πάροχο ταυτοποίησης αν η εγγραφή χρήστη πραγματοποιήθηκε με συνθηματικό ή έλεγχο ταυτότητας μέσω Διαδικτύου. Διαφορετικά, ο χρήστης ορίζει ένα τοπικό συνθηματικό. Αν χρειαστεί, μπορείτε να επιβάλετε απαιτήσεις πολυπλοκότητας συνθηματικού για το τοπικό συνθηματικό χρησιμοποιώντας τη ρύθμιση παραμέτρων «Κωδικός». Αν το διαμορφώσετε, το macOS μπορεί να συγχρονίσει την εικόνα προφίλ εισόδου του τοπικού λογαριασμού από τον πάροχο ταυτότητας.

Αν ο λογαριασμός χρήστη που δημιουργεί το macOS είναι ο μόνος λογαριασμός στο Mac, αυτός ο λογαριασμός γίνεται τοπικός λογαριασμός διαχειριστή. Αν η υπηρεσία διαχείρισης συσκευών δημιούργησε έναν λογαριασμό διαχειριστή χρησιμοποιώντας την εντολή ρύθμισης παραμέτρων λογαριασμού, μπορείτε να εκχωρήσετε διαφορετικά προνόμια στον λογαριασμό χρήστη χρησιμοποιώντας τη διαχείριση προνομίων Ενιαίας σύνδεσης πλατφόρμας.

Ενιαία σύνδεση

Καθώς η Ενιαία σύνδεση πλατφόρμας αποτελεί μέρος της Επεκτάσιμης ενιαίας σύνδεσης, παρέχει τις ίδιες δυνατότητες ενιαίας σύνδεσης και επιτρέπει στους χρήστες να πραγματοποιήσουν είσοδο μία φορά και μετά να χρησιμοποιείται το διακριτικό από τον αρχικό έλεγχο ταυτότητας για έλεγχο ταυτότητας σε υποστηριζόμενες εγγενείς και διαδικτυακές εφαρμογές.

Αν τα διακριτικά δεν υπάρχουν, έχουν λήξει ή είναι παλαιότερα των τεσσάρων ωρών, η Ενιαία σύνδεση πλατφόρμας προσπαθεί να τα ανανεώσει ή να ανακτήσει νέα από τον πάροχο ταυτότητας. Από προεπιλογή, η Ενιαία σύνδεση πλατφόρμας απαιτεί πλήρη είσοδο κάθε 18 ώρες, αλλά μπορείτε να διαμορφώσετε διαφορετική διάρκεια (κατ' ελάχιστο μία ώρα, σε δευτερόλεπτα) μέχρι η Ενιαία σύνδεση πλατφόρμας να απαιτήσει πλήρη είσοδο αντί για ανανέωση διακριτικού. Μια πλήρης είσοδος μπορεί να προτρέψει τον χρήστη να προβεί σε ενέργεια. Για παράδειγμα, για να παρουσιάσουν την έξυπνη κάρτα τους ή να χρησιμοποιήσουν το Touch ID αν η επέκταση SSO πλατφόρμας απαιτεί έλεγχο ταυτότητας με βιομετρικά δεδομένα.

Απαίτηση Touch ID

Πολλοί οργανισμοί θεωρούν τον έλεγχο ταυτότητας με βιομετρικά δεδομένα έναν από τους ισχυρότερους παράγοντες ελέγχου ταυτότητας, επειδή βασίζεται σε μοναδικά φυσικά χαρακτηριστικά αντί για κοινόχρηστα στοιχεία και αποτελεί τον πυρήνα μιας στρατηγικής ελέγχου ταυτότητας πολλών παραγόντων.

Όταν χρησιμοποιείτε έλεγχο ταυτότητας με συνθηματικό ή κλειδί που υποστηρίζεται από το Secure Enclave, μπορείτε να διαμορφώσετε το Touch ID ως υποχρεωτικό δεύτερο παράγοντα ξεχωριστά για τη διαδικασία ξεκλειδώματος του FileVault, την οθόνη κλειδώματος και το παράθυρο εισόδου. Αν επιτρέψετε αυτήν τη δυνατότητα, η διαμόρφωση απαιτεί ο χρήστης να πραγματοποιήσει έλεγχο ταυτότητας με Touch ID ή, προαιρετικά, με Apple Watch, εκτός από το συνθηματικό.

Ενιαία σύνδεση πλατφόρμας στις Ρυθμίσεις συστήματος

Μετά την εγγραφή της Ενιαίας σύνδεσης πλατφόρμας από τη συσκευή, οι χρήστες μπορούν να επιθεωρήσουν την κατάσταση εγγραφής τους στις «Ρυθμίσεις συστήματος» > «Χρήστες και ομάδες» > [όνομα χρήστη]. Αν χρειαστεί, μπορούν να επισκευάσουν την εγγραφή και να επιβάλουν ανανέωση του διακριτικού ελέγχου ταυτότητας.

Η κατάσταση εγγραφής της συσκευής είναι ορατή στους «Χρήστες και ομάδες» > «Διακομιστής λογαριασμού δικτύου» και προσφέρει επίσης μια επιλογή για εκτέλεση επισκευής.

Συγχρονισμός συνθηματικών

Αν χρησιμοποιείτε τη μέθοδο ελέγχου ταυτότητας με συνθηματικό, το συνθηματικό τοπικού χρήστη συγχρονίζεται αυτόματα με τον πάροχο ταυτοποίησης κάθε φορά που ένας χρήστης αλλάζει το συνθηματικό του, είτε τοπικά είτε εξ αποστάσεως. Αν χρειαστεί, το macOS θα ζητήσει από τον χρήστη να εισαγάγει το προηγούμενο συνθηματικό του.

Αν ο πάροχος ταυτότητας απαιτεί συνθηματικό κατά τον έλεγχο ταυτότητας μέσω Διαδικτύου και επιτρέπετε τη δυνατότητα στη ρύθμιση παραμέτρων, το macOS μπορεί να συγχρονίσει το συνθηματικό που εισάγει ο χρήστης στην προβολή Ιστού του παρόχου ταυτότητας στον τοπικό λογαριασμό χρήστη. Αυτός ο συγχρονισμός γίνεται μονόδρομα και έχει σχεδιαστεί για να βοηθά στη διατήρηση του τοπικού συνθηματικού ενημερωμένου. Απαιτεί ο πάροχος ταυτότητας να καλέσει μια συγκεκριμένη λειτουργία JavaScript Ενιαίας σύνδεσης πλατφόρμας στη σελίδα σύνδεσης.

Πολιτικές εισόδου

Από προεπιλογή, το macOS απαιτεί το συνθηματικό του τοπικού λογαριασμού για ξεκλείδωμα του FileVault, της οθόνης κλειδώματος και του παραθύρου εισόδου. Αν το συνθηματικό που εισαγάγατε δεν ταιριάζει με το συνθηματικό του τοπικού λογαριασμού χρήστη, το macOS επιχειρεί να επικοινωνήσει με τον πάροχο ταυτότητας για έλεγχο ταυτότητας του χρήστη. Αν το macOS δεν μπορεί να επικοινωνήσει με τον πάροχο ταυτότητας, ή αν το συνθηματικό που εισαγάγατε δεν ταιριάζει με το συνθηματικό που έχει αποθηκεύσει ο πάροχος ταυτότητας, ο έλεγχος ταυτότητας θα αποτύχει.

Με τις πολιτικές εισόδου, μπορείτε να επιτρέψετε την άμεση χρήση του τρέχοντος συνθηματικού από τον πάροχο ταυτότητας σε αυτές τις τρεις περιπτώσεις. Μπορείτε επίσης να ορίσετε τις ακόλουθες πολιτικές ξεχωριστά για το FileVault, την οθόνη κλειδώματος και το παράθυρο εισόδου:

• Απόπειρα ελέγχου ταυτότητας.

  • Αν διαμορφώσετε αυτήν την πολιτική, το macOS επιχειρεί να ελέγξει την ταυτότητα του χρήστη ζωντανά με τον πάροχο ταυτότητας.

  • Αν το Mac είναι συνδεδεμένο στο Διαδίκτυο, απαιτείται επιτυχής έλεγχος ταυτότητας του χρήστη μέσω του παρόχου ταυτότητας για να συνεχιστεί η διαδικασία, ακόμη κι αν το Mac είναι εκτός σύνδεσης μετά την πρώτη απόπειρα.

    Αν ο έλεγχος ταυτότητας είναι επιτυχής, η Ενιαία σύνδεση πλατφόρμας ενημερώνει τον τοπικό κωδικό.

  • Αν το Mac είναι εκτός σύνδεσης, ο χρήστης μπορεί να χρησιμοποιήσει το συνθηματικό του τοπικού λογαριασμού του.

• Απαίτηση ελέγχου ταυτότητας.

  • Αν διαμορφώσετε αυτήν την πολιτική, ο χρήστης πρέπει να πραγματοποιήσει έλεγχο ταυτότητας μέσω του παρόχου ταυτότητας για να συνεχιστεί η διαδικασία.

  • Αν το Mac είναι συνδεδεμένο στο Διαδίκτυο, ο χρήστης πρέπει να πραγματοποιήσει έλεγχο ταυτότητας μέσω του παρόχου ταυτότητας για να συνεχιστεί η διαδικασία, ανεξάρτητα από την περίοδο χάριτος εκτός σύνδεσης που έχει οριστεί.

    Αν ο έλεγχος ταυτότητας είναι επιτυχής, η Ενιαία σύνδεση πλατφόρμας ενημερώνει τον τοπικό κωδικό.

  • Αν το Mac είναι εκτός σύνδεσης, οι χρήστες δεν θα μπορούν να πραγματοποιήσουν είσοδο. Σε αυτές τις περιπτώσεις, μπορείτε να επιτρέψετε μια περίοδο χάριτος εκτός σύνδεσης και να την ορίσετε στον αριθμό ημερών μετά από προηγούμενη επιτυχημένη είσοδο, κατά τη διάρκεια της οποίας ο χρήστης μπορεί να συνεχίσει να χρησιμοποιεί το συνθηματικό του τοπικού λογαριασμού.

  • Μπορείτε να ορίσετε αν ένας λογαριασμός που πραγματοποιεί είσοδο στο Mac θα πρέπει να διαχειρίζεται από την Ενιαία σύνδεση πλατφόρμας ή αν το macOS εξακολουθεί να επιτρέπει την είσοδο με τοπικούς μόνο λογαριασμούς. Μπορείτε επίσης να καθορίσετε τον αριθμό των ημερών αφότου η Ενιαία σύνδεση πλατφόρμας εφαρμόσει ή ενημερώσει την πολιτική, πριν το macOS επιβάλει αυτήν τη ρύθμιση. Αυτό επιτρέπει προσωρινά στους χρήστες να χρησιμοποιούν τοπικούς λογαριασμούς. Για παράδειγμα, μπορείτε να χρησιμοποιήσετε προσωρινά έναν λογαριασμό διαχειριστή που δημιουργήθηκε από την υπηρεσία διαχείρισης συσκευών για να εκτελέσετε ή να επιδιορθώσετε την εγγραφή συσκευής με Ενιαία σύνδεση πλατφόρμας.

  • Αντί για σύνδεση στον πάροχο ταυτότητας για έλεγχο ταυτότητας, μπορείτε επίσης να επιτρέψετε στους χρήστες να χρησιμοποιούν το Touch ID ή το Apple Watch στην οθόνη κλειδώματος.

Σενάρια ανάκτησης

Όταν απαιτείται ζωντανός έλεγχος ταυτότητας μέσω του παρόχου ταυτότητας αλλά το Mac δεν μπορεί να τον εκτελέσει, οι χρήστες δεν μπορούν να συνδεθούν. Σε αυτές τις περιπτώσεις, οι ακόλουθες επιλογές μπορεί να βοηθήσουν τους χρήστες να ανακτήσουν την πρόσβαση:

• Αν ο χρήστης δεν μπορεί να προχωρήσει πέρα από το ξεκλείδωμα του FileVault, μπορεί να εισαγάγει ένα Προσωπικό κλειδί ανάκτησης πατώντας Option-Shift-Return για να μεταβεί στο παράθυρο εισόδου. Όταν το macOS συνδέεται σε ένα δίκτυο στο παράθυρο εισόδου, μια υπηρεσία διαχείρισης συσκευών μπορεί να αναπτύξει μια ενημερωμένη ρύθμιση παραμέτρων. Για παράδειγμα, θα μπορούσατε να αφαιρέσετε προσωρινά την πολιτική εισόδου για να επιτρέψετε στον χρήστη να πραγματοποιήσει είσοδο με το συνθηματικό του τοπικού λογαριασμού.

• Αν το macOS δεν μπορεί να συνδεθεί σε ένα δίκτυο για λήψη ενημερωμένης ρύθμισης παραμέτρων, το recoveryOS παρέχει μια επιλογή παράκαμψης. Για να χρησιμοποιήσετε αυτήν την επιλογή, ο χρήστης χρειάζεται το προσωπικό κλειδί ανάκτησης FileVault και, αν έχει διαμορφωθεί, το συνθηματικό Κλειδώματος ανάκτησης. Όταν ο χρήστης βρίσκεται στο recoveryOS, η εντολή security platformsso bypass-login-policy αφαιρεί προσωρινά την απαίτηση για απευθείας έλεγχο ταυτότητας με τον πάροχο ταυτότητας. Η παράκαμψη διαρκεί 12 ώρες ή μέχρι να πραγματοποιηθεί επιτυχής έλεγχος ταυτότητας μέσω του παρόχου ταυτότητας.

Διαχείριση προνομίων

Η Ενιαία σύνδεση πλατφόρμας προσφέρει λεπτομερή διαχείριση δικαιωμάτων ώστε να παρέχει στους χρήστες το κατάλληλο επίπεδο προνομίων που χρειάζονται στο Mac τους. Για να το κάνει αυτό, η Ενιαία σύνδεση πλατφόρμας μπορεί να εφαρμόζει τα ακόλουθα προνόμια σε έναν λογαριασμό κάθε φορά που ο χρήστης πραγματοποιεί έλεγχο ταυτότητας:

• Τυπικό: Ο λογαριασμός έχει προνόμια τυπικού χρήστη.

• Διαχειριστής: Προσθέτει τον λογαριασμό στην ομάδα τοπικών διαχειριστών.

• Ομάδες: Καθορίστε δικαιώματα βάσει της βαθμίδας μέλους σε ομάδες, τα οποία ενημερώνονται κάθε φορά που ο χρήστης πραγματοποιεί έλεγχο ταυτότητας με τον πάροχο ταυτότητας.

Όταν χρησιμοποιείτε ομάδες, ένας λογαριασμός έχει τα δικαιώματα που αντιστοιχούν στη συμμετοχή στα εξής:

• Ομάδες διαχειριστών: Αν ο λογαριασμός είναι μέρος μιας ομάδας που περιλαμβάνεται στη λίστα, έχει πρόσβαση τοπικού διαχειριστή.

• Ομάδες εξουσιοδότησης: Αν ο λογαριασμός ανήκει σε ομάδα που έχει αντιστοιχιστεί σε ενσωματωμένο ή προσαρμοσμένο δικαίωμα εξουσιοδότησης, τότε ο λογαριασμός έχει προνόμια που σχετίζονται με τη συγκεκριμένη ομάδα. Για παράδειγμα, το macOS χρησιμοποιεί τα ακόλουθα δικαιώματα εξουσιοδότησης:

  • system.preferences.datetime: επιτρέπει στον λογαριασμό να τροποποιεί τις ρυθμίσεις ώρας.

  • system.preferences.energysaver: επιτρέπει στον λογαριασμό να τροποποιεί τις ρυθμίσεις εξοικονόμησης ενέργειας.

  • system.preferences.network: επιτρέπει στον λογαριασμό να τροποποιεί τις δικτυακές ρυθμίσεις.

  • system.preferences.printing: επιτρέπει στον λογαριασμό να προσθέτει ή να αφαιρεί εκτυπωτές.

• Πρόσθετες ομάδες: Μπορεί να είναι ομάδες που ορίζονται από τον χρήστη (τις οποίες το macOS δημιουργεί αυτόματα μέσα στον τοπικό κατάλογο αν δεν υπάρχουν ήδη) για macOS ή συγκεκριμένες εφαρμογές. Για παράδειγμα, μπορείτε να χρησιμοποιήσετε μια επιπλέον ομάδα στη ρύθμιση παραμέτρων sudo για να ορίσετε την πρόσβαση sudo. Οι χρήστες αντιστοιχίζονται σε αυτές τις ομάδες αφού πραγματοποιήσουν έλεγχο ταυτότητας μέσω του παρόχου ταυτότητας.

Εξουσιοδότηση δικτύου

Η Ενιαία σύνδεση πλατφόρμας επεκτείνει τη χρήση των διαπιστευτηρίων παρόχου ταυτότητας για σκοπούς ελέγχου ταυτότητας σε χρήστες που δεν έχουν τοπικό λογαριασμό στο Mac. Αυτοί οι λογαριασμοί χρησιμοποιούν τις ίδιες ομάδες όπως η διαχείριση ομάδων. Για παράδειγμα, αν ο λογαριασμός είναι μέλος μιας ομάδας διαχειριστών, μπορεί να εγκρίνει προτροπές εξουσιοδότησης διαχειριστή. Για να χρησιμοποιήσετε αυτήν τη λειτουργικότητα, ρυθμίστε τις παραμέτρους της Ενιαίας σύνδεσης πλατφόρμας με κοινόχρηστα κλειδιά συσκευής.

Δεν είναι δυνατή η εξουσιοδότηση δικτύου με προτροπές εξουσιοδότησης που απαιτούν ασφαλές διακριτικό, δικαιώματα ιδιοκτησίας, ή έλεγχο ταυτότητας από τον τρέχοντα συνδεδεμένο χρήστη.

Δημιουργία λογαριασμού κατ’ απαίτηση

Για να διευκολυνθεί η διαχείριση λογαριασμών σε κοινόχρηστες αναπτύξεις, οι χρήστες μπορούν να χρησιμοποιήσουν το όνομα χρήστη και το συνθηματικό του παρόχου ταυτότητας ή έναν έλεγχο ταυτότητας μέσω Διαδικτύου για να πραγματοποιήσουν είσοδο σε ένα Mac και να δημιουργήσουν έναν τοπικό λογαριασμό. Αυτό είναι ιδιαίτερα χρήσιμο αν οι ίδιοι χρήστες επιστρέφουν σε ένα Mac, όπως σε περίπτωση εργαζομένων σε βάρδιες ή σε τάξεις όπου οι μαθητές χρησιμοποιούν το ίδιο Mac καθ’ όλη τη διάρκεια ενός σχολικού έτους.

Μπορείτε να επιτύχετε μια πλήρως αυτοματοποιημένη διαδικασία παροχής χρησιμοποιώντας την Αυτόματη εγγραφή συσκευής με Αυτόματη συνέχιση. Πρέπει να δημιουργήσετε τον πρώτο τοπικό λογαριασμό διαχειριστή χρησιμοποιώντας μια υπηρεσία διαχείρισης συσκευών και να εκτελέσετε σιωπηλή εγγραφή Ενιαίας σύνδεσης πλατφόρμας.

Επιπλέον (παρόμοια με την Αυτοματοποιημένη εγγραφή συσκευών), μπορείτε να χρησιμοποιήσετε ένα προαιρετικό κλειδί ρύθμισης παραμέτρων για να καθορίσετε ποιο χαρακτηριστικό από τον πάροχο ταυτότητας θα χρησιμοποιηθεί για το όνομα του τοπικού λογαριασμού χρήστη.

Μπορείτε επίσης να ορίσετε ποια προνόμια θα ισχύουν για νέους λογαριασμούς κατά την είσοδο. Διατίθενται οι ίδιες επιλογές για τη διαχείριση προνομίων:

• Τυπικό: Ο λογαριασμός έχει προνόμια τυπικού χρήστη.

• Διαχειριστής: Προσθέτει τον λογαριασμό στην ομάδα τοπικών διαχειριστών.

• Ομάδες: Καθορίστε δικαιώματα βάσει της βαθμίδας μέλους σε ομάδες, τα οποία ενημερώνονται κάθε φορά που ο χρήστης πραγματοποιεί έλεγχο ταυτότητας με τον πάροχο ταυτότητας.

Απαιτήσεις

• Εγγράψτε το Mac σε μια υπηρεσία διαχείρισης συσκευών που υποστηρίζει διακριτικά bootstrap.

• Ολοκληρώστε τον Βοηθό διαμόρφωσης και δημιουργήστε έναν τοπικό λογαριασμό διαχειριστή.

• Το Mac βρίσκεται στην οθόνη παραθύρου εισόδου, το FileVault είναι ξεκλείδωτο και υπάρχει σύνδεση δικτύου.

Λειτουργία επισκέπτη με έλεγχο ταυτότητας

Η λειτουργία επισκέπτη με ελεγμένη ταυτότητα παρέχει μια εμπειρία γρήγορης εισόδου για κοινόχρηστες αναπτύξεις, όπως σε ιατρεία ή σχολεία, όπου οι διάφοροι χρήστες δεν χρειάζεται να δημιουργήσουν τοπικό λογαριασμό, καθώς μπορούν απλώς να συνδεθούν με τα διαπιστευτήρια παρόχου ταυτότητας για σύντομο χρονικό διάστημα. Ο χρήστης λαμβάνει προνόμια τυπικού χρήστη από προεπιλογή, αλλά μπορείτε να αλλάξετε αυτά τα προνόμια χρησιμοποιώντας τη διαχείριση προνομίων Ενιαίας σύνδεσης πλατφόρμας.

Η λειτουργία επισκέπτη με ελεγμένη ταυτότητα μπορεί να χρησιμοποιηθεί μαζί με τοπικούς λογαριασμούς χρηστών με ενεργοποιημένη την Ενιαία σύνδεση πλατφόρμας. Αυτό επιτρέπει σε έναν κύριο χρήστη του Mac να επωφελείται από τις δυνατότητες της Ενιαίας σύνδεσης πλατφόρμας, ενώ άλλοι μπορούν να συνδεθούν προσωρινά αν χρειαστεί.

Όταν ένας χρήστης πραγματοποιήσει έξοδο, το macOS διαγράφει όλα τα τοπικά δεδομένα για τον συγκεκριμένο λογαριασμό και το κοινόχρηστο Mac είναι έτοιμο για είσοδο του επόμενου χρήστη.

Από προεπιλογή, η λειτουργία επισκέπτη με ελεγμένη ταυτότητα διαγράφει με ασφάλεια ολόκληρο τον φάκελο αφετηρίας χρήστη. Ενώ είναι ενδελεχές, μπορεί να γίνει εις βάρος της καθυστέρησης της εξόδου. Αν απαιτείται ταχύτερη εναλλαγή μεταξύ διαφορετικών συνεδριών χρήστη, μπορείτε να διαμορφώσετε τη γρήγορη είσοδο. Η γρήγορη είσοδος διαγράφει τα έγγραφα, το γραφείο εργασίας, τις λήψεις και μερικά άλλα στοιχεία και αφαιρεί όλες τις συνεδρίες επισκεπτών κάθε οκτώ ώρες. Όταν είναι ενεργοποιημένη, η εναλλαγή συνεδριών είναι ακόμη ταχύτερη, γεγονός που την καθιστά ιδανική επιλογή όπου υπάρχει υψηλός ρυθμός εναλλαγής συνεδριών χρηστών και η απόδοση της εμπειρίας εξόδου και εισόδου αποτελεί προτεραιότητα.

Απαιτήσεις

• Εγγράψτε το Mac σε μια υπηρεσία διαχείρισης συσκευών που υποστηρίζει διακριτικά bootstrap.

• Ολοκληρώστε τον Βοηθό διαμόρφωσης και δημιουργήστε έναν τοπικό λογαριασμό διαχειριστή.

Αγγίξτε για είσοδο

Η δυνατότητα «Άγγιγμα για είσοδο» επεκτείνει τη λειτουργικότητα των ψηφιακών διαπιστευτηρίων από το Πορτοφόλι Apple στο Mac. Τα τελευταία χρόνια, οι οργανισμοί έχουν υιοθετήσει ψηφιακά διακριτικά στο Πορτοφόλι Apple, επιτρέποντας στους χρήστες να ξεκλειδώνουν πόρτες με ένα απλό άγγιγμα του iPhone ή του Πορτοφολιού Apple τους, χωρίς να χρειάζεται φυσικό διακριτικό. Η ίδια εμπειρία είναι διαθέσιμη σε Mac και είναι ιδιαίτερα χρήσιμη για οργανισμούς όπου πολλαπλοί χρήστες μοιράζονται ένα Mac, όπως εκπαιδευτικά ιδρύματα, περιβάλλοντα λιανικής και εγκαταστάσεις υγειονομικής περίθαλψης.

Με τη δυνατότητα «Άγγιγμα για είσοδο», οι χρήστες μπορούν να κάνουν έλεγχο ταυτότητας σε Mac που έχει διαμορφωθεί για τη Λειτουργία επισκέπτη με έλεγχο ταυτότητας αγγίζοντας το iPhone ή το Apple Watch τους σε μια συνδεδεμένη συσκευή ανάγνωσης NFC. Αυτό ξεκινά μια ασφαλή διαδικασία ενιαίας σύνδεσης που κάνει αυτόματα έλεγχο ταυτότητας στους χρήστες στις εφαρμογές και τους ιστοτόπους τους, επιτρέποντάς έτσι τη γρήγορη είσοδο και την έναρξη της εργασίας τους.

Μια εφαρμογή iPhone ή ένα πρόγραμμα περιήγησης παρέχει διαπιστευτήρια χρήστη ως κλειδιά πρόσβασης σε ένα πάσο Πορτοφολιού Apple. Το Secure Element στη συσκευή αποθηκεύει αυτά τα κλειδιά πρόσβασης, καθιστώντας τα υποστηριζόμενα από το υλισμικό και κρυπτογραφημένα και βοηθά στην προστασία τους από παραβίαση ή εξαγωγή. Η Λειτουργία εξπρές βελτιώνει περαιτέρω την ευκολία, επιτρέποντας άμεσο έλεγχο ταυτότητας στους χρήστες, χωρίς να ενεργοποιήσουν ή να ξεκλειδώσουν τη συσκευή τους (όπως λειτουργούν οι κάρτες συγκοινωνίας στο Πορτοφόλι Apple).

Η δημιουργία και η διαχείριση κλειδιών πρόσβασης απαιτεί συμμετοχή στο Πρόγραμμα πρόσβασης Apple Wallet. Για περισσότερες πληροφορίες σχετικά με τη δημιουργία κλειδιού πρόσβασης, δείτε την ενότητα Παροχή στον Οδηγό προγράμματος πρόσβασης στο Πορτοφόλι Apple.

Απαιτήσεις

• Πρέπει να διαμορφώσετε τη λειτουργία επισκέπτη με ελεγμένη ταυτότητα

• Πρέπει να χρησιμοποιήσετε μια υποστηριζόμενη εξωτερική συσκευή ανάγνωσης NFC